ウェブアプリケーションのストームパストークンベースの認証

Question

私はストームパスアイデンティティ管理サービスを使用しているウェブアプリケーションを持っています。

ストームパスは私にとって初めてのことです。今まで私が理解していることは、サインアップして嵐のパスにログインし、嵐があなたにアクセストークンを与えることです。各アカウントはapplication_idに関連付けられています。右？

私はここで私は私の使用ケース/シナリオのための質問のカップルを抱えているこれら二つの記事

http://docs.stormpath.com/guides/token-management/

https://stormpath.com/blog/build-api-restify-stormpath/

をお読みください。ここには が3つの主要コンポーネントです。

1）stormpath

2）（このアプリが正常に動作して認証するようにstormpathを使用しているWebアプリケーション（WA1それを呼び出すことができます））

3）他のウェブアプリが（WA2それを呼び出すことができます） stormpathのログイン（同じアプリケーションの場合）と上記webapp（WA1）の公開APIを使用します。

私のアプリケーション（WA2）にログインすると、私はトークンを取得します。このトークンを使ってWA1によって公開されているAPIにアクセスするにはどうすればいいですか？

私はstormpathから直接ログアウトすると、私はまだ私のアプリにログインしますか？ はいの場合は、その後どのようにユーザーを認証していますか。

これらのクエリはダムと聞こえるかもしれませんが、私は読んだり読んだりしても、フローを理解できませんでした。あなたがそれを説明できれば素晴らしいだろう。

PS：またはセッションベースの認証は、（第一、ログイン後に）全体的である：私は PPS（WA2に）ジャンゴ+（WA1中）ジャンゴ・stormpath と角/ノード/ Expressを使用していますか？

Answer 1

私はStormpathで働いています。私は助けることができるはずです。私たちのフレームワーク統合（Django、Express）はStormpath APIを使用してログイン時にユーザーのアクセスと更新トークンを作成します。これらのトークンはJavaScriptからはわかりにくいHttp-Only Cookieに格納されます。 2つのWebアプリケーションが同じルートドメイン上にある場合、アプリケーション間でCookieを共有することができます。アプリケーションが同じドメイン上にない場合は、次の2つのオプションがあります：

• を異なるドメイン上の2つのアプリケーション間のシングルサインオンのCookieを維持するために、私たちのID Site featureを使用してください。

• /oauth/tokenエンドポイントthat our framework integrations provideを使用してトークンを手作業で取得し、それらをクロスドメイン方式で使用できるようにローカルストレージに保存します。注：ローカルストレージにはセキュリティ上の脆弱性、特にXSSの脆弱性があります。

この回答が役立ちます。また、support@stormpath.comまでご連絡ください。